Technický stav a prevádzka
Účty, siete, zariadenia, zálohy, dokumentácia, dodávatelia a plán nápravy.
Zákonný audit a nezávislé overenie
Kontrola stavu školského IT a zákonný audit kybernetickej bezpečnosti nie sú to isté.
Nesprávne pomenovanie služby vytvára falošný pocit súladu. Preto presne oddeľujeme technické posúdenie Stonet, internú kontrolu a audit vykonaný oprávneným audítorom.
Podstata
Najprv treba vedieť, akú otázku má kontrola zodpovedať.
Vedenie môže potrebovať prevádzkový obraz, pripravenosť na incident, kontrolu dodávateľa alebo formálny zákonný audit. Každý výstup má iný účel a zodpovednosť.
Plníme vlastné pravidlá?
Overenie opatrení, záznamov, termínov a vlastníkov úloh.
Formálne nezávislé posúdenie
Vykonáva oprávnený audítor podľa platných požiadaviek a rozsahu.
Náprava zistení
Realizácia technických opatrení, dokumentácia a dôkaz uzatvorenia nálezu.
Kontrola stavu školského IT
Čo vieme preveriť a dodať
mapu systémov, účtov a zodpovedností
technický stav siete, M365, zariadení a záloh
test vybraných obnovovacích postupov
riziká vzdialených a dodávateľských prístupov
stav dokumentácie a zastupiteľnosti
prioritný plán nápravy a orientačný rozpočet
Príprava na zákonný audit
Technický poriadok znižuje počet zbytočných nálezov
aktuálny register aktív a rizík
priradení vlastníci a termíny
dôkazy kontrol a testov
incidentná a prevádzková evidencia
platné zmluvy a požiadavky na dodávateľov
uzatvorené staršie nápravné opatrenia
Nezávislosť
Ten, kto opatrenia realizuje, nemá sám vydávať konečný verdikt
Stonet môže odstrániť technické nedostatky a pripraviť podklady. Externý MKB môže vykonávať metodickú kontrolu. Zákonný audítor musí zostať nezávislý podľa pravidiel svojho výkonu.
Tento model je pre vedenie dôveryhodnejší než jeden dodávateľ, ktorý navrhne opatrenia, sám ich označí za bezchybné a následne vydá marketingový certifikát.
Čo má zostať po kontrole
Jasný rozsah, nálezy, dôkazy a plán nápravy
Každý nález má mať vlastníka, závažnosť, termín a spôsob overenia.
definovaný rozsah a metodika kontroly
zoznam zistení s dôkazmi
klasifikácia závažnosti a dopadu
nápravné opatrenia a zodpovedné osoby
termíny a stav uzatvorenia
nezávislé overenie tam, kde je potrebné
Časté otázky
Praktické odpovede pre školy
Môže Stonet vystaviť potvrdenie, že škola spĺňa NIS2?
Nie je zodpovedné vydať všeobecné potvrdenie po bežnej technickej kontrole. Vieme zdokumentovať stav a opatrenia; formálny záver patrí príslušnému právnemu alebo auditnému procesu.
Má technická kontrola zmysel, aj keď škola nie je regulovaným subjektom?
Áno. Prevádzková kontrola odhalí závislosť od jedného človeka, nefunkčné zálohy, nejasné účty, slabé siete a ďalšie riziká, ktoré existujú bez ohľadu na reguláciu.
Oficiálne zdroje
Overujte aktuálne znenie, nie staré prezentácie.
Slov-LexZákon č. 69/2018 Z. z. o kybernetickej bezpečnostiPrávny rámec auditu pre regulované subjekty
NBÚAudit kybernetickej bezpečnosti a metodikyOficiálne informácie a usmernenia
Dôležité: Táto stránka je praktické technické a organizačné vysvetlenie. Nenahrádza právne stanovisko, výkon zodpovednej osoby ani zákonný audit vykonaný oprávnenou osobou.